Core Lightning met en garde contre des nœuds Bitcoin vulnérables
La vulnérabilité touche surtout les opérateurs de nœuds sur le Lightning Network ; Core Lightning a déjà publié la mise à jour 26.06.8 afin de réduire les risques dans les payment channels.
À retenir
- Core Lightning avertit que des attaquants ciblent les nœuds exécutant la version 26.06.7 ou une version antérieure.
- Les payment channels non mis à jour peuvent entraîner des pertes de fonds ; la mise à jour 26.06.8 est disponible depuis le 22 septembre.
- Pour les utilisateurs de wallet sans nœud propre, le risque repose généralement sur le prestataire, tandis que les utilisateurs en self-custody restent eux-mêmes responsables.
Core Lightning a averti que des attaquants ciblent les nœuds qui exécutent la version 26.06.7 ou une version antérieure. Selon les développeurs, les fonds dans des payment channels non mis à jour peuvent ainsi être exposés à un risque. La mise à jour vers la version 26.06.8 est disponible depuis le 22 septembre, mais de nombreux utilisateurs ne semblent pas encore l’avoir installée.
Ce qui peut mal tourner
Le Lightning Network est un système de paiement de couche 2 au-dessus de Bitcoin. Il est utilisé pour des paiements rapides et peu coûteux, réglés en dehors de la mainchain. Un node est l’ordinateur qui exécute le logiciel Lightning et gère les bitcoins dans des payment channels.
Dans le journal des modifications, Core Lightning mentionne plusieurs bugs qui peuvent coûter de l’argent aux opérateurs de nœuds. Dans le pire des cas, une fermeture de channel incorrecte peut entraîner la disparition des fonds vers l’autre partie. D’autres erreurs peuvent provoquer le crash d’un node et sa mise hors ligne temporaire.
Les développeurs n’ont pas indiqué quelle faille est précisément exploitée. Ils gardent également les détails techniques pour l’instant, afin que d’autres attaquants ne puissent pas reproduire facilement l’attaque.
Qui doit mettre à jour immédiatement
Pour la plupart des utilisateurs du Lightning, le risque est moins direct. Les personnes qui utilisent Lightning via une application wallet ne font généralement pas tourner leur propre node. Dans ce cas, le prestataire se charge en général de la mise à jour.
La différence entre self-custody et custody est donc importante. Avec des wallets custodial, un prestataire détient les bitcoins pour le compte des utilisateurs. Si un tel fournisseur perd des fonds sur son node, c’est d’abord le prestataire lui-même qui est touché. Le fait que les clients soient indemnisés ou non dépend des conditions, car Lightning ne prévoit pas d’assurance des dépôts.
Les utilisateurs de wallets en self-custody conservent leurs propres clés et restent propriétaires de leur solde de channel. En revanche, un node de prestataire hors service peut bloquer temporairement les paiements.
Pourquoi cela compte à plus grande échelle
Cet avertissement s’inscrit dans une période agitée pour la sécurité de Lightning. En août, les développeurs de Core Lightning avaient déjà alerté sur plusieurs vulnérabilités après que des rapports de security générés par IA ont mis au jour de nouvelles failles. Cela souligne à quel point un ancien logiciel peut rapidement devenir une cible lorsque des nœuds utilisent des clés en ligne pour acheminer des paiements en temps réel.
Pour les utilisateurs européens de crypto, c’est pertinent parce que Lightning est souvent considéré comme une couche pratique au-dessus de Bitcoin pour les petits paiements. En même temps, cela montre que la sécurité dépend fortement de la personne qui gère le node et de la rapidité avec laquelle les mises à jour sont installées.
Les avertissements précédents de Core Lightning montrent aussi que le logiciel subit depuis un certain temps la pression de nouveaux signalements de bugs. Cela rend les mises à jour rapides encore plus importantes pour les opérateurs de nœuds.
